Configurer DMARC avec Gandi

Gandi est à la fois bureau d’enregistrement et fournisseur de messagerie. Sa configuration est simple, avec une particularité qui surprend : le DKIM repose sur trois enregistrements, et l’exemple SPF de sa propre documentation se termine par un mécanisme qui n’affirme rien.

SPF

Un seul enregistrement TXT pour le domaine :

v=spf1 include:_mailcust.gandi.net ~all

L’include autorise l’ensemble des serveurs sortants de Gandi. Attention à la terminaison : la documentation de Gandi donne l’exemple avec ?all, qui est le mécanisme neutre — il n’affirme rien du tout sur les serveurs non listés, et ne protège donc de rien. Préférez ~all le temps de l’observation, puis -all une fois tous vos expéditeurs recensés.

DKIM

Trois CNAME, pas un :

gm1._domainkey  CNAME  gm1.gandimail.net.
gm2._domainkey  CNAME  gm2.gandimail.net.
gm3._domainkey  CNAME  gm3.gandimail.net.

Les trois sélecteurs permettent à Gandi de faire tourner ses clés sans interruption de signature. En publier un seul fonctionne… jusqu’à la rotation suivante, où les messages cessent d’être vérifiables sans que rien n’ait changé chez vous.

DMARC

Publiez la politique en observation sur _dmarc.votredomaine.com :

v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.com

Durcissez seulement une fois tous vos expéditeurs identifiés. La progression, palier par palier.

Erreurs fréquentes avec Gandi

• Le ?all recopié de la documentation. Il rend l’enregistrement inoffensif : un serveur non listé n’est ni refusé, ni même signalé comme suspect.
• Un seul CNAME DKIM publié sur les trois. La signature tient tant que Gandi utilise ce sélecteur-là.
• Le domaine chez Gandi, la zone DNS ailleurs. Gandi ne peut alors rien publier pour vous : les quatre enregistrements sont à recopier à la main.
• Un point final oublié dans la valeur des CNAME. Certains éditeurs de zone l’exigent, d’autres l’ajoutent ; sans lui, la cible est interprétée comme relative au domaine.

Une fois en place, Clarsend lit vos rapports et vous montre ce qui passe, ce qui échoue, et qui envoie sans que vous le sachiez.